디웹시 / PHP 보안 업데이트 / 2026년 10월 보안 업데이트

2026년 10월 PHP 긴급 보안 업데이트 총정리

작성 2026년 10월 22일 · 기준 공지 2026년 10월 21일

PHP Group은 2026년 10월 21일에 8.2.35, 8.3.36, 8.4.27, 8.5.12를 보안 릴리스로 냈습니다. 같은 글에서 로그인하지 않은 요청으로 원격 코드 실행이 될 수 있는 취약점 두 건을 고쳤다고 밝혔습니다. 식별자는 CVE-2026-109618, CVE-2026-109619입니다. KISA도 같은 날 대응 공지를 냈고, 그 공지에 적힌 등급은 CVSS v4.0 9.2입니다.

이 글은 그 공지를 운영자 기준으로 다시 적은 것입니다. 공식 문장을 옮기지 않았고, 취약점이 성립하는 절차도 적지 않습니다. 디웹시가 KISA나 PHP Group을 대표하지 않습니다.

영향받는 버전과 수정 버전

비교 기준은 업스트림 PHP 버전 문자열입니다. 8.2.34와 8.2.35는 다른 결과입니다. 8.2.9는 8.2.35보다 낮습니다. 숫자를 문자열처럼 정렬하면 9가 35보다 커 보이는 실수를 하기 쉽습니다.

8.2의 보안 지원은 2026년 12월 31일에 끝납니다. 이번 패치를 넣어도 두 달 뒤면 그 계열은 공식 지원 밖입니다. 새로 올리는 사이트는 8.3 이상을 먼저 검토하는 편이 낫고, 코드가 따라가지 못하면 8.2.35로 급한 불만 끈 뒤 이전 일정을 따로 잡는 식이 됩니다.

우분투나 RHEL 패키지는 버전 숫자가 8.2.30이어도 배포판이 패치를 넣었을 수 있습니다. 그 반대도 있습니다. 패키지 고지와 changelog를 보기 전에는 문자열만으로 안전하다고 말하지 않습니다.

버전 확인

• 카페24 웹호스팅: 호스팅 관리의 PHP 버전 화면에 현재 값이 있습니다. 목록에 없는 버전은 그 호스팅에서 고를 수 없습니다.
• 그누보드: 관리자 로그인 후 /adm/phpinfo.php. 공개 페이지에는 PHP 버전이 없습니다.
• VPS와 자체 서버: php -v와 웹(php-fpm, 모듈)이 다를 수 있습니다. 사이트가 물린 SAPI를 봐야 합니다.

카페24는 나의 서비스 관리 → 서버 환경에서 현재 버전을 봅니다. 변경신청은 데이터를 지우는 작업입니다. 버전을 몰라도 신청할 수 있습니다.버전을 보는 위치

호스팅별로 갈리는 지점

웹호스팅은 계정을 받은 사람이 PHP를 컴파일하지 않습니다. 호스팅사가 열어 둔 버전으로 바꾸거나, 그 목록에 수정 버전이 들어올 때까지 기다리는 구조입니다. 목록에 8.2.35가 없고 8.3만 있으면, 패치가 아니라 업그레이드 문제가 됩니다.

VPS와 자체 서버는 패키지 갱신, php-fpm 재시작, 웹서버가 읽는 소켓까지가 작업입니다. 재시작 순간에 요청이 잠깐 실패할 수 있습니다. 길이는 서버마다 달라서 미리 분을 박아 말하지 않습니다.

그누보드

그누보드5 코어가 8.2에서 돈다고 해서 스킨, 소셜 로그인, 결제 플러그인까지 같은 결과인 것은 아닙니다. 플러그인이 깨지면 그 수정은 패치 견적과 따로 봅니다.

데이터 이전과 PHP 교체는 다른 일입니다. DB를 옮기는 작업이 견적에 들어 있지 않으면 하지 않습니다. 코어만 살리고 플러그인을 고치는 시간은 패치 금액에 포함하지 않고 따로 적습니다.

패치와 업그레이드

보안 패치는 8.2.30 → 8.2.35처럼 같은 계열의 점 번호를 올리는 일입니다. 설정과 확장 모듈 이름이 거의 그대로인 경우가 많습니다. 그래도 백업 없이 하지 않습니다.

업그레이드는 7.4 → 8.3처럼 계열을 바꿉니다. 없어진 함수, 기본값이 바뀐 설정, 컴파일 플래그가 다른 확장이 여기서 터집니다. 동작 확인 범위(회원, 글, 결제, 관리자 로그인)를 견적 전에 적습니다. 범위 밖 오류는 고치지 않거나 다시 견적합니다.

신청

버전을 모르거나, 호스팅 목록만 봐서는 패치인지 업그레이드인지 애매하면상담 신청을 쓰면 됩니다. 신청 즉시 결제되지 않습니다. 서버 비밀번호는 그 폼에 넣지 마세요.

• KISA 보안공지
• PHP 보안 릴리스 (2026-10-21)
• PHP 공식 지원 버전